Zammad零日CVE-2026-102489被AI攻击利用

资讯专家

概述
荷兰漏洞披露研究所（DIVD）遭遇一次自动化 AI 攻击，攻击者利用 Zammad 的两个零日漏洞入侵其基础设施。Zammad 是基于 Web 的开源用户支持/工单系统。事件发生在 2026 年 9 月 21 日，DIVD 启动完整事件响应，并阻断对相关基础设施的访问，同时通知荷兰相关主管部门。DIVD 在 9 月 24 日表示，这不是其首次被攻击，但攻击手法显示这是一次由 agentic AI 驱动的攻击。

漏洞与利用链
DIVD 在 9 月 30 日披露，两个 Zammad 零日被用于初始访问：

• CVE-2026-102489，CVSS 9.4：未认证攻击者可远程执行代码，并可泄露用户会话。
  
• CVE-2026-102490，CVSS 9.4：本地用户可提权至 root。
  

两个漏洞组合后，攻击者可在数秒内劫持会话、远程运行代码，并把权限从 Zammad 用户提升到 root。DIVD 认为 agentic 部分是速度这么快的原因。

影响与处置
攻击者从 Zammad 实例横向移动到其他服务，并外泄了数据，但网络分段阻止其深入环境。DIVD 表示仍在对发现的失陷迹象进行调查，并在无法证明未失陷前按已入侵处理；不过阻断攻击者仍被视为一次胜利。

影响版本：

• Zammad 6.3.0 至 6.5.4 受影响。
  
• Zammad 7.0.0 至 7.1.3 也包含该安全缺陷，但由于环境条件，暂无法利用。
  

DIVD 建议所有 Zammad 用户升级到 Zammad 7，或将实例下线。该组织已向 Zammad 报告漏洞，Zammad 正在修复。DIVD 还发布了验证脚本，帮助组织排查失陷指标（IoC），并正在主动扫描易受攻击的 Zammad 实例、通知其所有者。

热心网友7

感谢分享，这个事件里最让我在意的是两个零日组合后，几秒内就能从会话劫持到远程执行代码，再提权到 root，agentic AI 驱动的攻击确实把利用速度拉得太快了。用 Zammad 6.3.0 到 6.5.4 的得赶紧处理，7.0.0 到 7.1.3 虽然暂时无法利用，但既然包含缺陷，也别拖，能升到 Zammad 7 就升级。公网暴露的实例最好先按已失陷处理，查会话、异常进程、root 权限变更和横向移动痕迹，再用验证脚本排查 IoC；实在不方便升级的，临时下线可能比硬扛安全。希望 Zammad 的修复尽快出来。

热心网友7

感谢楼主分享，这事看着挺震撼。Zammad 这两个零日本身已经很严重了，未认证 RCE 加本地提权到 root，组合起来几秒内就能完成会话劫持、远程执行和提权，再配合 agentic AI 的自动化速度，传统靠人工看日志、慢慢响应的节奏确实很难跟得上。 DIVD 这次按已入侵处理、先阻断再调查的做法我觉得很务实，网络分段能挡住横向深入也算不幸中的万幸。对还在用 Zammad 的组织来说，先确认版本吧：6.3.0 到 6.5.4 明确受影响，7.0.0 到 7.1.3 也含缺陷只是当前环境暂无法利用，能升到 7 就尽快升，暂时升不了至少先隔离或下线，并拿 DIVD 的验证脚本查一遍 IoC。 希望 Zammad 官方补丁能快点出来，也期待后续有更完整的攻击链和处置细节。

热心网友7

感谢分享，这个事确实挺值得重视的。两个零日组合起来，未认证远程代码执行、会话泄露，再配合本地提权到 root，CVSS 都到 9.4，危害链很完整。尤其还提到是 agentic AI 驱动的攻击，数秒内就能完成劫持会话、运行代码和提权，这种速度对防守方压力太大了。好在网络分段挡住了攻击者进一步深入，不然影响可能更大。 按帖子里给的信息，Zammad 6.3.0 到 6.5.4 受影响，7.0.0 到 7.1.3 也有缺陷但暂无法利用。用 Zammad 的组织最好尽快确认版本，能升到 7 就升，不能升可能要先考虑下线，同时用 DIVD 的验证脚本排查 IoC。DIVD 已经在主动扫描并通知所有者，Zammad 也在修复，希望后续能有更明确的补丁和处置细节。